Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'progrrma' = '<Текущая директория>\viwer.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\viwer.exe'
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /pid=4032
- '<SYSTEM32>\taskkill.exe' /pid=3972
- '<SYSTEM32>\taskkill.exe' /pid=3640
- '<SYSTEM32>\taskkill.exe' /pid=3240
- '<SYSTEM32>\taskkill.exe' /pid=2872
- '<SYSTEM32>\taskkill.exe' /pid=364
- '<SYSTEM32>\taskkill.exe' /pid=2888
- '<SYSTEM32>\taskkill.exe' /pid=2700
- '<SYSTEM32>\attrib.exe' /pid=2804
- '<SYSTEM32>\taskkill.exe' /pid=3536
- '<SYSTEM32>\taskkill.exe' /pid=3472
- '<SYSTEM32>\taskkill.exe' /pid=3308
- '<SYSTEM32>\attrib.exe' /pid=3100
- '<SYSTEM32>\taskkill.exe' /pid=3656
- '<SYSTEM32>\taskkill.exe' /pid=3020
- '<SYSTEM32>\taskkill.exe' /pid=3584
- '<SYSTEM32>\taskkill.exe' /pid=724
- '<SYSTEM32>\taskkill.exe' /pid=2992
- '<SYSTEM32>\taskkill.exe' /pid=4084
- '<SYSTEM32>\taskkill.exe' /pid=3636
- '<SYSTEM32>\taskkill.exe' /pid=3288
- '<SYSTEM32>\taskkill.exe' /pid=2900
- '<SYSTEM32>\attrib.exe' /f /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /pid=1380
- '<SYSTEM32>\taskkill.exe' /pid=768
- '<SYSTEM32>\taskkill.exe' /f /im cmd.exe
- '<SYSTEM32>\taskkill.exe' /f /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im iexplore.exe
- '<SYSTEM32>\attrib.exe' /f /im cmd.exe
- '<SYSTEM32>\chcp.com' /f /im taskmgr.exe
- '<SYSTEM32>\wscript.exe' /pid=1692
- '<SYSTEM32>\chcp.com' 1251
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\dinstall.cmd" "
- '<SYSTEM32>\wscript.exe' "<Текущая директория>\dstart.vbs"
- '<SYSTEM32>\attrib.exe' +a +s +h start.vbs
- '<SYSTEM32>\attrib.exe' +a +s +h dinstall.cmd
- '<SYSTEM32>\attrib.exe' +a +s +h viwer.exe
- '<SYSTEM32>\taskkill.exe' /pid=3648
- '<SYSTEM32>\taskkill.exe' /pid=3452
- '<SYSTEM32>\taskkill.exe' /pid=3176
- '<SYSTEM32>\taskkill.exe' /pid=192
- '<SYSTEM32>\taskkill.exe' /pid=3980
- '<SYSTEM32>\taskkill.exe' /pid=3760
- '<SYSTEM32>\taskkill.exe' /pid=1120
- '<SYSTEM32>\taskkill.exe' /pid=3468
- '<SYSTEM32>\taskkill.exe' /pid=3120
- '<SYSTEM32>\taskkill.exe' /pid=2652
- '<SYSTEM32>\taskkill.exe' /pid=1940
- '<SYSTEM32>\taskkill.exe' /pid=836
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskkill.exe
- <SYSTEM32>\attrib.exe
- <SYSTEM32>\chcp.com
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\viwer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\reklama[1].htm
- <Текущая директория>\dstart.vbs
- <Текущая директория>\dinstall.cmd
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\dinstall.cmd
- <Текущая директория>\viwer.exe
Удаляет следующие файлы:
- <Текущая директория>\dstart.vbs
Сетевая активность:
Подключается к:
- 'za##bik.ru':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- za##bik.ru/reklama.htm
UDP:
- DNS ASK za##bik.ru
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
